WAF ve Lambda@Edge ile CloudFront

AWS WAF (Web Uygulaması Güvenlik Duvarı), CloudFront dağıtımınıza ulaşan HTTP/HTTPS isteklerini filtreler ve izler. Dağıtımınıza bir WAF Web ACL ekleyerek SQL enjeksiyonu, siteler arası komut dosyası çalıştırma (XSS), kötü amaçlı botlar ve OWASP İlk 10 saldırıları gibi yaygın web açıklarından yararlanma girişimlerini kaynağınıza ulaşmadan engelleyebilirsiniz.

WAF, CloudFront ucunda çalışır; bu nedenle kötü amaçlı istekler uygulama sunucunuza veya ALB'nize ulaşmak yerine en yakın uç konumunda reddedilir. Bu, arka uçtaki yükü azaltır ve saldırıları saldırgana daha yakın bir noktada durdurur.

Bir WAF Web ACL, her biri istek özellikleriyle eşleşen ve bir eylem (Allow, Block, Count, CAPTCHA) gerçekleştiren, sıralı kurallar ve kural grupları içerir. Kurallar öncelik sırasına göre değerlendirilir; eşleşen ilk kuralın eylemi uygulanır.

AWS, AWS ve AWS Marketplace satıcıları tarafından sürdürülen, önceden oluşturulmuş kural kümeleri olan yönetilen kural grupları sağlar. AWS Managed Rules - Core Rule Set, herhangi bir yapılandırma gerektirmeden OWASP İlk 10 kapsamını sağlar. Yeni tehditler ortaya çıktıkça yönetilen kural grupları AWS tarafından güncellenir ve operasyonel yükünüz azalır.

WAF'taki hız tabanlı kurallar, 5 dakikalık bir zaman aralığında her kaynak IP'den gelen istekleri sayar. Bir IP eşiği aşarsa (örneğin 5 dakikada 2.000 istek), hız düşene kadar WAF bu IP'den gelen diğer istekleri engeller. Hız tabanlı kurallar kaba kuvvet saldırılarına, kimlik bilgisi doldurma saldırılarına ve basit DDoS tarama saldırılarına karşı koruma sağlar.

AWS WAF Bot Control, trafiği doğrulanmış botlar (Googlebot, Bingbot), tarayıcılar, izleme araçları ve insan trafiği gibi kategorilere ayıran yönetilen bir kural grubudur. Her kategori için farklı eylemler yapılandırabilirsiniz: arama motoru botlarına izin verebilir, bilinmeyen botlara CAPTCHA ile doğrulama uygulayabilir ve kötü amaçlı tarayıcıları engelleyebilirsiniz.

WAF Web ACL'lerinin kapsamı CLOUDFRONT (CloudFront ile kullanım için genel) veya REGIONAL (belirli bir Bölgedeki ALB, API Gateway, AppSync ya da Cognito User Pools ile kullanım için bölgesel) olur. CloudFront kapsamındaki WAF ACL'leri, trafiğin nereden geldiğinden bağımsız olarak us-east-1 Bölgesi'nde oluşturulmalıdır; çünkü CloudFront bu Bölgeden yönetilir.

Bu, sınavda sıkça karşılaşılan önemli bir tuzaktır: eu-west-1'de bir WAF Web ACL oluşturup bunu CloudFront'a eklemeye çalışırsanız ekleme başarısız olur. CloudFront WAF ACL'lerini her zaman us-east-1'de oluşturun.

Lambda@Edge, CloudFront olaylarına yanıt olarak CloudFront uç konumlarında Node.js veya Python Lambda işlevlerini çalıştırmanızı sağlar. İşlevler, trafiği işlenmek üzere merkezi bir Bölgeye geri yönlendirmeden, kullanıcının isteğinden milisaniyeler içinde çalışır.

Lambda@Edge işlevleri us-east-1 Bölgesi'ne dağıtılır; ancak otomatik olarak dünya genelindeki tüm CloudFront uç konumlarına çoğaltılır. Böylece kodunuz kullanıcıya mümkün olduğunca yakın çalışır ve uçta en düşük gecikme ek yüküyle kişiselleştirme, kimlik doğrulama ve A/B testi yapmanızı sağlar.

Lambda@Edge işlevleri, yaşam döngüsünün dört noktasında CloudFront isteklerine ve yanıtlarına müdahale edebilir:

• Viewer Request: CloudFront izleyiciden isteği aldıktan sonra ve önbelleği denetlemeden önce çalışır; kimlik doğrulama, yeniden yönlendirme ve üst bilgi düzenleme için kullanılır
• Origin Request: önbellek kaçırmasından sonra ve kaynağa iletmeden önce çalışır; URL yeniden yazma ve kaynağa özel üst bilgiler için kullanılır
• Origin Response: kaynaktan yanıt alındıktan sonra ve önbelleğe alınmadan önce çalışır; güvenlik üst bilgileri ekleme ve yanıtı değiştirme için kullanılır
• Viewer Response: CloudFront yanıtı izleyiciye göndermeden önce çalışır; yanıt üst bilgilerini eklemek veya değiştirmek için kullanılır

AWS, farklı ödünleşimlere sahip iki uç işlem seçeneği sunar:

• CloudFront Functions: milisaniyenin altında çalışma, yalnızca JavaScript, son derece düşük maliyet (fiyatın yaklaşık 1/6'sı), yalnızca Viewer Request ve Viewer Response olaylarında çalışma, 1 ms işlem süresi sınırı, VPC/ağ erişimi yok
• Lambda@Edge: en fazla 30 saniye (Viewer) / 30 saniye (Origin) çalışma süresi, Node.js veya Python, dört tetikleme noktasının tümü, ağ istekleri yapabilme, istek/yanıt gövdelerine erişim

Basit üst bilgi düzenleme, URL normalleştirme ve önbellek anahtarı hesaplama için CloudFront Functions'ı kullanın. Ağ çağrıları, daha uzun hesaplama veya kaynak tarafında işleme gerektiren karmaşık mantık için Lambda@Edge'i kullanın.

SAA-C03 sınavında yaygın Lambda@Edge örüntüleri:

• Uçta JWT doğrulama: Viewer Request işlevi bir Authorization üst bilgisini doğrular; yetkisiz istekler kaynağa ulaşmadan 401 döndürülür
• A/B testi: Viewer Request kullanıcıları (çerez aracılığıyla) A veya B grubuna atar ve isteği /a/page.html ya da /b/page.html dosyasını alacak şekilde değiştirir
• URL yeniden yazma: Origin Request, anlaşılır URL'leri S3'teki gerçek dosya yollarına yeniden yazar
• Dinamik görsel yeniden boyutlandırma: Origin Request bir görsel işleme Lambda'sına istek oluşturur; Origin Response yeniden boyutlandırılmış görseli önbelleğe alır
• HTTP güvenlik üst bilgileri: Viewer Response CSP, HSTS ve X-Frame-Options üst bilgilerini ekler

Lambda@Edge, standart Lambda ile karşılaştırıldığında çeşitli kısıtlamalara sahiptir:

• İşlevler us-east-1 Bölgesinde olmalıdır
• VPC desteği yoktur (VPC içindeki kaynaklara erişilemez)
• Ortam değişkenleri yoktur (yapılandırmayı işlev koduna gömmeniz veya soğuk başlatma sırasında Parameter Store'dan almanız gerekir)
• Lambda Katmanları kullanılamaz
• Görüntüleyici olayı zaman aşımı: 5 saniye; kaynak olayı zaman aşımı: 30 saniye
• Dağıtım paketi boyutu sınırı: 1 MB (Görüntüleyici olayları) / 50 MB (Kaynak olayları)

Bu sınırlamalar Lambda@Edge'i uzun süren hesaplamalar, VPC'ye bağlı işlemler veya her dağıtım için dinamik yapılandırmaya ihtiyaç duyan işlevler için uygunsuz hâle getirir.

WAF ve Lambda@Edge farklı güvenlik rollerine sahiptir ve birbirini tamamlar:

• WAF: imza tabanlı saldırı engelleme (SQL enjeksiyonu, XSS, bilinen kötü niyetli aktörler, istek hızı sınırlama)—yönetilen kurallar yaygın saldırıları otomatik olarak ele alır
• Lambda@Edge: özel iş mantığı güvenliği (JWT doğrulama, oturum denetimleri, erişim belirteci doğrulaması)—esnektir ancak geliştirme çalışması gerektirir

Derinlemesine savunma mimarisi: WAF önce bilinen saldırı kalıplarını engeller; Lambda@Edge iş düzeyindeki kimlik doğrulamayı doğrular; CloudFront imzalı URL'ler/çerezler içerik erişimini kısıtlar; OAC S3'ü özel tutar. Her katman, farklı bir saldırı sınıfını bağımsız olarak önler.

Kenar güvenlik katmanınızı şu araçlarla izleyin:

• WAF günlükleri: hangi kuralların eşleştiğini ve hangi trafiğin engellendiğini görmek için S3, CloudWatch Logs veya Kinesis Firehose'a tam istek günlük kaydını etkinleştirin
• WAF ölçümleri: CloudWatch'ta kural başına BlockedRequests, AllowedRequests, CountedRequests
• Lambda@Edge günlükleri: CloudWatch Logs grupları, işlevin çalıştığı her Bölge'de oluşturulur; Bölgeler arasında sorgulama yapmak için CloudWatch Insights'ı kullanın
• CloudFront Gerçek Zamanlı Günlükleri: anında analiz için erişim günlüklerini Kinesis'e aktarın (birkaç dakikada bir toplu olarak yazılan standart erişim günlüklerinin aksine)

Bu dersteki AWS Çözüm Mimarı (SAA-C03) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: AWS WAF, yönetilen ve özel kural gruplarını kullanarak CloudFront kenarında yaygın web saldırılarını engeller, Lambda@Edge küresel olarak dört CloudFront tetikleme noktasında özel kod çalıştırır ve CloudFront Functions basit görüntüleyici tarafı mantığı için milisaniyenin altında yürütme süresi sunar. CloudFront için WAF ACL'leri us-east-1'de oluşturulmalıdır. Sırada Application, Network ve Gateway Load Balancer'ları inceliyoruz.